Krytyczne luki w PHP: co zrobić ze stroną WordPress lub Joomla?

Dwie krytyczne luki w PHP wymagają pilnej uwagi administratorów hostingu i właścicieli stron. Jeśli korzystasz z WordPressa, Joomla lub sklepu internetowego, sprawdź, kto aktualizuje PHP na Twoim serwerze. Sama aktualizacja CMS-a nie zastępuje poprawek środowiska, w którym działa strona.

Stan informacji: 21 października 2026 r., godz. 15:05 czasu polskiego — przed zapowiedzianą publikacją poprawek. Poniższy tekst nie potwierdza ich wdrożenia na konkretnym serwerze.

Co wiadomo o zagrożeniu?

Zespół PHP zapowiedział wydanie bezpieczeństwa na 21 października 2026 r., godz. 14:00 UTC, czyli 16:00 w Polsce. Aktualizacja ma usuwać dwie krytyczne podatności, każdą ocenioną na 9,2 w skali CVSS 4.0. Pełny zakres podatnych wersji i numery wydań z poprawkami mają zostać ogłoszone wraz z aktualizacją. Źródło: komunikat zespołu PHP.

CERT-EU wymienia identyfikatory CVE-2026-109618 i CVE-2026-109619 oraz ostrzega przed możliwością zdalnego wykonania kodu. Część informacji o skutkach i zakresie pochodzi jeszcze z doniesień poprzedzających pełne ujawnienie. Nie należy na tej podstawie ogłaszać, że każda strona została zaatakowana. Źródło: ostrzeżenie CERT-EU.

Co przekazał SEOHOST?

W wiadomości do klientów z 21 października SEOHOST poinformował, że monitoruje sytuację i zamierza wdrożyć odpowiednie pakiety po ich udostępnieniu. Dostawca korzysta z CloudLinux; według maila przygotowywane są także poprawki dla starszych wersji PHP, a termin ich dostępności nie został jeszcze potwierdzony.

SEOHOST deklaruje wykonanie tych aktualizacji po swojej stronie, bez dodatkowych czynności klienta. Zaleca również PHP 8.3 lub nowsze, jeżeli aplikacja jest z nim zgodna. Zapowiedź aktualizacji nie oznacza jednak, że konkretna usługa jest już zabezpieczona. Potwierdzenie trzeba uzyskać od hostingu.

PHP, WordPress i wtyczki — trzy różne warstwy

PHP jest środowiskiem uruchamiającym kod strony na serwerze. WordPress i Joomla to aplikacje korzystające z PHP, a motywy oraz rozszerzenia dodają kolejne funkcje. Dlatego zielony komunikat „wszystko aktualne” w panelu WordPressa nie mówi jeszcze, czy administrator zainstalował poprawki PHP.

Podobnie certyfikat SSL zabezpiecza transmisję danych, ale nie usuwa błędów w oprogramowaniu serwera. Wtyczka bezpieczeństwa i zapora mogą stanowić dodatkową ochronę, lecz nie są dowodem usunięcia tej konkretnej podatności.

Co powinien zrobić właściciel strony?

1. Ustal wersję PHP i administratora usługi. W WordPressie zajrzyj do Narzędzia → Stan witryny → Informacje → Serwer. Sprawdź również panel hostingu: różne domeny na jednym koncie mogą mieć różne ustawienia.
2. Poproś hosting o potwierdzenie poprawek. Zapytaj o konkretną domenę, obie wskazane podatności i moment wdrożenia. Numer wersji widoczny w panelu nie zawsze ujawnia poprawki dostawcy przeniesione do starszego pakietu.
3. Sprawdź kopię zapasową. Powinna obejmować pliki i bazę danych oraz dawać możliwość odtworzenia witryny. Backup pomaga odzyskać stronę, ale sam nie blokuje ataku.
4. Nie przełączaj pochopnie głównej wersji PHP. Zmianę gałęzi poprzedź sprawdzeniem zgodności CMS-a, szablonu i rozszerzeń, najlepiej na kopii testowej. Pilną poprawkę bezpieczeństwa w obsługiwanej gałęzi trzeba odróżnić od migracji całej aplikacji.
5. Po aktualizacji przetestuj działanie strony. Sprawdź panel, formularze, wysyłkę wiadomości, a w sklepie również koszyk i płatności. Przejrzyj logi błędów i nietypową aktywność.

A jeśli mam własny VPS lub starą stronę?

Na samodzielnie zarządzanym VPS-ie nie zakładaj, że aktualizację wykona hosting. Sprawdź obowiązujący zakres administracji. Osobnego przeglądu mogą wymagać kontenery, zadania cykliczne i inne aplikacje korzystające z PHP.

Starsza witryna wymagająca niewspieranej gałęzi potrzebuje planu modernizacji. Na dziś oficjalnym wsparciem PHP objęte są gałęzie 8.2–8.5, przy czym 8.2 kończy wsparcie bezpieczeństwa 31 grudnia 2026 r. Rozszerzone poprawki dostawcy nie są tym samym co wsparcie projektu PHP. Zobacz oficjalny harmonogram wsparcia.

Czy ten komunikat oznacza włamanie?

Nie. Informacja o podatności nie jest potwierdzeniem infekcji Twojej strony. Jeśli jednak widzisz obce pliki, nieznane konta administratorów, przekierowania lub nietypowe wysyłki poczty, potrzebna jest osobna analiza incydentu. Aktualizacja nie usuwa automatycznie skutków wcześniejszego włamania.

Potrzebujesz pomocy w ustaleniu wersji PHP, sprawdzeniu zgodności lub bezpiecznej aktualizacji? Skontaktuj się ze mną — ustalimy zakres prac dla Twojej strony WordPress lub Joomla.